Segurança e Privacidade

A segurança faz parte do desenvolvimento do Virio desde o início. O responsável pela segurança da informação e pela proteção de dados é o encarregado indicado na Política de Privacidade (contato@virio.com.br).

Princípios: privilégio mínimo, segurança por padrão e verificação antes de cada liberação. Toda mudança que envolve autenticação, permissões, banco de dados, integrações ou segredos passa por diagnóstico e revisão antes de entrar em produção, com plano de reversão descrito.

Esta política é revisada ao menos uma vez por ano e sempre que houver mudança relevante na Plataforma.

• Banco de dados, autenticação, armazenamento de arquivos e funções de servidor rodam na Supabase, em servidores no Brasil (AWS, São Paulo); o site e o aplicativo web são hospedados pela Lovable, sem acesso ao banco de dados;
• O isolamento de rede e a proteção contra ataques de negação de serviço são providos por esses provedores de nuvem;
• Todo tráfego usa HTTPS (TLS 1.2 ou superior);
• O banco de dados só aceita conexões autenticadas; os endpoints públicos validam toda entrada e têm limite de requisições; formulários públicos usam proteção contra bots (Cloudflare Turnstile).

• Cada espaço de trabalho tem papéis (dono, administrador, editor e leitor) verificados no servidor; esconder um botão nunca é tratado como permissão;
• Row Level Security em todas as tabelas: um espaço de trabalho não enxerga dados de outro;
• Credenciais de serviço ficam só no servidor e nunca chegam ao navegador;
• O acesso administrativo à produção é restrito ao fundador e registrado em log de auditoria;
• Os equipamentos da empresa usam antivírus (Microsoft Defender) ativo e atualizado.

• Credenciais de integrações (tokens de acesso das contas conectadas): criptografadas com AES-256-GCM antes de serem gravadas e nunca exibidas;
• Dados de clientes do Virio (conta, conteúdos, métricas): criptografia em trânsito e em repouso, isolados por espaço de trabalho;
• Dados de compradores de lojas e marketplaces conectados: o Virio não guarda nome, documento, e-mail, telefone nem endereço do comprador; quando necessário para evitar duplicidade, guarda só um código irreversível (hash);
• Registros técnicos: não contêm dados pessoais nem segredos.

• Eventos de segurança (acessos administrativos, mudanças de permissão, conexões e desconexões de integrações) vão para um registro de auditoria imutável;
• A operação é acompanhada diariamente por um resumo interno com falhas de rotinas automáticas, pagamentos e riscos.

• Revisões de segurança (código, permissões e regras de acesso ao banco, segredos) acompanham cada etapa de desenvolvimento;
• Alertas de vulnerabilidade em dependências são monitorados e corrigidos por gravidade, com prioridade para as críticas e altas;
• Segredos nunca ficam no código-fonte; ficam no cofre de segredos do provedor;
• Encontrou uma vulnerabilidade? Escreva para contato@virio.com.br. Respondemos e tratamos o relato com prioridade.

Um incidente de segurança é qualquer evento que comprometa a confidencialidade, a integridade ou a disponibilidade dos dados tratados pelo Virio. O encarregado é o responsável por conduzir a resposta, nestas etapas:

• Identificação: registro do alerta ou do relato e avaliação inicial;
• Contenção: bloqueio do acesso indevido, revogação de credenciais afetadas e preservação de evidências;
• Avaliação: quais dados, quais clientes e qual o risco aos titulares;
• Comunicação: aviso aos clientes e titulares afetados e, quando houver risco ou dano relevante, à Autoridade Nacional de Proteção de Dados (ANPD), no prazo e na forma previstos pela LGPD (art. 48) e pela regulamentação da ANPD; plataformas parceiras (como redes sociais e marketplaces conectados) são avisadas quando dados recebidos delas forem afetados;
• Correção e aprendizado: correção da causa, verificação e registro do incidente com as medidas adotadas.

Canal para comunicar um incidente ou suspeita: contato@virio.com.br.

Os dados da Plataforma ficam armazenados no Brasil (São Paulo). Os operadores que processam dados fora do Brasil, e as garantias adotadas, estão listados na Política de Privacidade (seções 7 e 12).

Os prazos de retenção de cada tipo de dado estão na Política de Privacidade (seção 9). Ao desconectar uma conta, os tokens de acesso são apagados na hora. Para pedir a exclusão dos seus dados: https://www.virio.com.br/data-deletion.

O Virio ainda não tem certificação formal de segurança (como ISO 27001 ou SOC 2). Os controles descritos aqui seguem o artigo 46 da LGPD.

Segurança, privacidade e relato de vulnerabilidades: contato@virio.com.br.